いいえ、フリッパー ゼロはテスラの盗難マルチツールではありません

によると インターネットの半分って感じ、 フリッパーゼロ 彼 悪の道具 それにより可能になります 卑劣な魔法 として知られている “海賊最近、フリッパーが次のように主張する記事が出回っています。 ハッカーがテスラを盗むことを許可する 彼らの鼻のすぐ下に 親切で勤勉なアメリカ人のオーナー – 確かにハーグで裁かれるべき犯罪だ。

それは実際には真実ではありません。 この「ハッキング」は現実のものですが、たとえあなたが考えているようなものではなくても、フリッパーはこの状況について何の責任も負いません。 これは悪意のある攻撃者にとって実際には役に立たないだけでなく、ラップトップで同じことを行うよりもはるかに困難になります。

パート 1: 攻撃

まず、攻撃自体について話しましょう。 かつての私と同じように、コンピューティング セキュリティの 1 年目の専門家なら誰でも、次のことを言うことができます。 あらゆるコンピュータ システムの最も弱い部分は、それを使用する肉袋です最も賢い攻撃は、あらゆるタイプのコードではなく、この弱点を利用します。 今回のテスラ攻撃もその一つで、フィッシング攻撃と呼ばれています。

フィッシング攻撃とは、攻撃者が回答すべき人物になりすましてユーザーに情報を要求する攻撃です。 Gmail アカウントでの不審なアクティビティについて警告する電子メールを受信したにもかかわらず、実際のユーザー名とパスワードを入力するよう偽のログイン ページに送信された場合、これはフィッシングです。

この特定の攻撃では、悪意のある攻撃者が Tesla Supercharger Web サイトに常駐し、「Tesla Guest」と呼ばれるパブリック WiFi ネットワークを開きます。 Tesla 所有者が接続すると、ログイン ページに誘導され、Tesla アプリのユーザー名とパスワードの入力を求められます。 偽のネットワークに入ると、2 要素認証コードが要求され、3 つの情報がすべて攻撃者に渡されます。

攻撃者は、2 要素パスコードの有効期限が切れる前に、そのユーザーのログイン情報を元の Tesla アプリに入力し、Tesla 所有者のアカウントと、車に接続されているすべての機能にアクセスできるようにする必要があります。 これらの機能には、理論的にはテスラのロックを解除して走り去るために使用できるキーとして、攻撃者がログインしたばかりの電話などを使用することが含まれます。 パイが焦げてカリカリになるまで30秒以上オーブンに入れておかなければ、パイのように簡単です。

パート 2: ゼロフィン

デモでは、この攻撃は Flipper Zero を使用して実行され、偽の WiFi ネットワークが作成されます。 これは Flipper が持つ機能で、背後に実際のインターネット接続がなくても WiFi ネットワークを作成できますが、同じことが多くのワイヤレス デバイスにも当てはまります。

Raspberry Pi、ラップトップ、携帯電話、GoPro カメラ、リビング ルームのホーム シアター スピーカーなど、これらのデバイスはすべて WiFi ネットワークを作成できます。 確かに、それらの多くはそのネットワークをあまり制御できませんが、GoPro やサウンド バーのハッキング専用のプログラムは確かに存在しますが、その多くは する。 ラップトップは、他の Flipper と同じくらい簡単にこのタスクを実行できます。

実際、ラップトップには工場出荷時に WiFi が組み込まれていることを考えると、さらに簡単になります。 ヒレはあらゆるコミュニケーション手段を持っていますが、そうではありません。 WiFi開発ボード、必要なアンテナとともに、デバイスが実際にデモで示されている操作を行う前に、別途購入して追加する必要があります。

パート 3: いずれにしても、これは重要ではありません

そしてまたあの言葉が出てきましたが、 実験的な。 最近公開された多くの脆弱性と同様、この攻撃はすべて理論上のものであり、予期せぬ被害者が野外で発生したのではなく、攻撃の両側に座っていた誰かによって制御された条件下で発生しました。 攻撃がその成功を示す YouTube 動画にのみ存在する場合、攻撃はそもそも存在するのでしょうか?

この脆弱性を発見した研究者であるミスク氏は、テスラの注意を引くためにこの脆弱性を公開しました。 彼らは 灰色の帽子 — 確かに彼らは脆弱性を公開しましたが、目的はテスラにそれを知らせることでした 修理 彼彼女。 具体的には、悪意のある攻撃者が車の所有者の知らないうちに新しい電話キーを簡単に作成できないように、Tesla アプリ内の保護を強化したいと考えています。

この「ハック」は、ほとんどの人が考えているようなハックではありません。 彼は、暗い部屋でコートを着てサングラスをかけて、黒い端末に緑色のテキストを入力してメインフレームにアクセスして何かをするような人ではありません。 犯罪。 それはソーシャルエンジニアリングです – 会計部門のエディ・ヴェダー氏は、電力サージの後、セキュリティ部門のノームに電話し、このプロジェクトを完了するためにモデム上の電話番号を要求します。。 確かに理論的には可能だが、うまくいく可能性は低い したがって、のみ 攻撃が成功するには、そしてもし成功したとしても、それはほぼ確実に Flipper Zero のせいではありません。